Katalog podatności CVE

W CubeCart przed wersją 6.7.5 narzędzia GDPR w admin/sources/customers.gdpr.inc.php polegają wyłącznie na uprawnieniu CC_PERM_READ i nie wymagają CC_PERM_DELETE dla poleceń purge, no_order_purge i delete_guests. Uwierzytelniony administrator z uprawnieniami tylko do odczytu może bezpośrednio wywołać te akcje, omijając ograniczenia interfejsu i nieodwracalnie usuwając rekordy klientów, konta bez zamówień lub konta gości.

CubeCart, oprogramowanie e-commerce, przed wersją 6.7.5 w admin/sources/settings.index.inc.php bezpośrednio konkatenuje kontrolowany przez administratora parametr POST download_expire do surowego zapytania UPDATE dla CubeCart_downloads bez walidacji numerycznej. Uwierzytelniony administrator może dostarczyć wartość rozdzielaną przecinkami, która zmienia klauzulę SET, ponieważ sanityzacja HTML nie neutralizuje składni SQL, co pozwala na manipulację kolumnami bazy danych i potencjalnie innymi danymi w ramach uprawnień bazy danych aplikacji. Problem został naprawiony w wersji 6.7.5.

CubeCart, oprogramowanie e-commerce, przed wersją 6.7.5 w admin/sources/maintenance.index.inc.php umieszcza kontrolowane przez administratora wartości tablename w instrukcjach ALTER TABLE, CHECK TABLE i ANALYZE TABLE bez walidacji identyfikatorów lub escapowania osadzonych backticków. Uwierzytelniony administrator może zakończyć cytowany identyfikator zamykającym backtickiem i wprowadzić kontrolowany przez atakującego strukturalny SQL, potencjalnie naruszając poufność, integralność i dostępność bazy danych w ramach uprawnień bazy danych aplikacji. Problem został naprawiony w wersji 6.7.5.

W CubeCart przed wersją 6.7.5 plik admin/sources/products.index.inc.php odczytuje pola tekstowe description, description_short i spec_copy z $GLOBALS['RAW']['POST'] i usuwa tylko elementy script przed zapisaniem i renderowaniem przez szablony Smarty. Administrator z uprawnieniami do edycji produktów może przechowywać atrybuty obsługi zdarzeń, treści SVG lub URI javascript:, które omijają filtr, powodując trwałe wykonanie JavaScript podczas przeglądania treści produktu przez odwiedzającego sklep lub innego administratora.

W CubeCart przed wersją 6.7.5 metoda _errorMessage w classes/gui.class.php używa strip_tags, aby zezwolić na elementy kotwicy w komunikatach błędów, informacyjnych i ostrzegawczych, zachowując niebezpieczne wartości href i procedury obsługi zdarzeń onclick. Dane wyszukiwania lub dane wejściowe kontrolowane przez atakującego, które trafiają do komunikatu GUI, mogą przenosić URI javascript: lub procedurę obsługi zdarzeń przez filtr, a wyświetlenie lub interakcja z wyrenderowaną kotwicą wykonuje JavaScript w sesji przeglądarki ofiary.

W CubeCart przed wersją 6.7.5 procedura usuwania notatek w admin/sources/orders.index.inc.php weryfikuje tylko obecność parametrów order_id i delete-note przed usunięciem rekordów z CubeCart_order_notes, bez wymagania uprawnienia CC_PERM_DELETE dla zamówień. Uwierzytelniony administrator bez uprawnień do modyfikacji zamówień może bezpośrednio wywołać procedurę z prawidłowymi identyfikatorami i usunąć notatki historii zamówień, usuwając rekordy operacyjne i dane dziennika audytu.

W CubeCart przed wersją 6.7.5 akcje reset_id (licznik pobrań) i delete_card (przechowywana karta płatnicza) w admin/sources/orders.index.inc.php używają żądań GET zmieniających stan i są pominięte w mapie ochrony w admin/skins/default/csrf.inc.php. Zdalny atakujący może nakłonić uwierzytelnionego administratora do wysłania jednego z tych żądań bez ważnego tokena sesji, powodując niezamierzone zresetowanie liczników pobrań elektronicznych lub usunięcie przechowywanych tokenów kart płatniczych klientów.

W bibliotece Hamlib przed wersją 4.7.2 nieuwierzytelniona komenda send_raw w usłudze rigctld na porcie TCP 4532 prowadzi do zapisu poza buforem stosu (NUL bajt poza buforem 200 bajtów) oraz do kopiowania zbyt dużej liczby bajtów z niezainicjalizowanej pamięci stosu. W domyślnej konfiguracji bez hasła zdalny klient może wywołać oba błędy jednym poleceniem.

W PoDoFo od wersji 1.0.0 do 1.1.1 przetwarzanie spreparowanego pliku PDF z obrazem w przestrzeni kolorów Indexed może spowodować odczyt poza granicami sterty w PdfColorSpaceFilterIndexed::FetchScanLine. PODOFO_INVARIANT nie wykonuje kontroli w czasie wykonywania, więc indeks piksela większy lub równy m_MapSize może adresować poza m_lookup. Ponadto walidacja hival w PdfColorSpaceFilterFactory::TryCreateFromObject używa nieprawidłowej koniunkcji i nie ma górnej granicy, co pozwala na nieprawidłowe metadane przestrzeni kolorów Indexed poza oczekiwanym zakresem.

W Vvveb przed wersją 1.0.8.5 funkcja getThemeFolder() w admin/controller/editor/revisions.php zwraca kontrolowany przez atakującego parametr theme bez sanityzacji, a backupFolder() łączy go z DIR_THEMES przed operacjami editor/revisions/load lub editor/revisions/delete na nazwanym pliku .html. sanitizeBackupFileName() usuwa znaki przejścia tylko z osobnego parametru pliku i nie chroni składnika katalogu motywu. Uwierzytelniony użytkownik z domyślną rolą Editor i uprawnieniem editor/* może przesłać sekwencje przejścia, które przekierowują file_get_contents() lub unlink() do osiągalnego podkatalogu kopii zapasowej poza katalogiem głównym sieci.

W systemie CMS Vvveb od wersji 1.0.0 do 1.0.8.5 funkcja saveGlobalElements() łączy kontrolowaną przez atakującego część ścieżki z katalogiem motywu, co pozwala na path traversal. Uwierzytelniony użytkownik z domyślną rolą Editor może zapisać dowolną treść PHP poza katalogiem motywu, co umożliwia umieszczenie trwałego webshella.

W MythicalDash w wersji 3.5.4-aurora i wcześniejszych endpoint GET /api/stripe/processed akceptuje kod płatności bez weryfikacji sesji Stripe, własności ani statusu płatności. Uwierzytelniony użytkownik może porzucić płatność i przesłać oczekujący kod, aby otrzymać darmowe środki wirtualnej waluty.

W AI Agent Automation przed wersją 0.9.1 implementacja kroku plikowego executeStep przekazuje kontrolowaną przez użytkownika wartość step.path przez path.resolve bez sprawdzenia, czy ścieżka pozostaje w zatwierdzonym katalogu workflow. Uwierzytelniony użytkownik może użyć segmentów traversal do odczytu lub zapisu plików poza obszarem roboczym.

W AI Agent Automation przed wersją 0.9.1 funkcje listMemories, deleteMemory i clearAgentMemory używają identyfikatorów podanych przez wywołującego bez weryfikacji, czy rekord należy do zalogowanego użytkownika. Uwierzytelniony atakujący znający identyfikatory ofiary może czytać, usuwać lub czyścić jej dane pamięci agenta.

W Vvveb przed wersją 1.0.8.5 handler oEmbedProxy() przyjmuje kontrolowany przez atakującego parametr url i przekazuje go do getUrl(), podczas gdy validateUrl() sprawdza tylko nazwę hosta, nie jego rozwiązane adresy. Uwierzytelniony użytkownik panelu admina może wywołać żądanie do adresów prywatnych, loopback, link-local lub zarezerwowanych.

W Vvveb przed wersją 1.0.8.5 funkcja sanitizeHTML() ma błędne wyrażenie regularne dla atrybutów zdarzeń on* oraz błędny warunek pętli, przez co zabronione zagnieżdżone znaczniki są usuwane tylko raz. Użytkownik z rolą Author lub wyższą może zapisać w polu bio złośliwy JavaScript, który wykonuje się u innych użytkowników.

W Frappe Learning Management System (LMS) przed wersją 2.52.1 funkcja SCORMRenderer.render w lms/page_renderers.py konstruuje i otwiera ścieżkę po stronie serwera bez sprawdzenia, czy jej rzeczywista ścieżka pozostaje w katalogu public/scorm. Zdalny atakujący może odczytać pliki spoza katalogu SCORM.

W SQLBot przed wersją 1.9.0 uwierzytelniony użytkownik może podać spreparowaną wartość sheet["tableName"] w konfiguracji źródła danych Excel, która jest przechowywana bez bezpiecznego przetwarzania identyfikatora. Przy usuwaniu źródła danych wartość ta jest wstawiana do SQL i wykonywana przez PostgreSQL, co umożliwia second-order SQL injection.

SQLBot przed wersją 1.9.0 zawiera podatność w punkcie końcowym POST /api/v1/datasource/previewData, gdzie wartość table_name kontrolowana przez klienta jest wstawiana do generowanego SQL bez bezpiecznego obsługiwania identyfikatorów. Uwierzytelniony użytkownik może skonfigurować źródło danych dla wewnętrznego PostgreSQL i wysłać spreparowaną nazwę tabeli, która pozostaje operacją SELECT, ale wywołuje funkcje pg_read_file(), pg_read_binary_file() lub pg_ls_dir(). W domyślnej konfiguracji zaufanego uwierzytelniania loopback, wewnętrzne połączenie akceptuje nieprawidłowe poświadczenia i wykonuje się z uprawnieniami superużytkownika PostgreSQL, co pozwala na odczyt plików systemowych, takich jak /etc/hosts i /etc/passwd, w odpowiedzi API previewData, potencjalnie ujawniając konfigurację, poświadczenia, sekrety uwierzytelniania i kod źródłowy. Problem naprawiono w wersji 1.9.0.

SQLBot przed wersją 1.9.0 umożliwia uwierzytelnionemu użytkownikowi przesłanie logo asystenta w formacie image/svg+xml przez PATCH /api/v1/system/assistant/ui, a SQLBot przechowuje SVG bez sanityzacji lub walidacji osadzonych aktywnych treści. SQLBot następnie serwuje plik inline z tego samego pochodzenia aplikacji przez GET /api/v1/system/assistant/picture/{filename}. Gdy inny użytkownik załaduje ten zasób, JavaScript osadzony w SVG wykonuje się w kontekście aplikacji webowej SQLBot, co prowadzi do trwałego cross-site scripting z dostępem do danych i akcji dostępnych w sesji ofiary. Problem naprawiono w wersji 1.9.0.